2026 KVKK Yurt Dışına Veri Aktarımı ve Kurumsal Cezalar

2026'da geçerli KVKK yurt dışına veri aktarımı kuralları: standart sözleşme, 5 iş günü bildirim, VERBİS ve veri güvenliği ihlallerinde 17 milyon TL'ye varan cezalar, uyum adımları ve teknik önlemler.

Kişisel verilerin yurt dışına aktarımı, 7499 sayılı Kanun'la değişen KVKK'nın 9. maddesi ve 10 Temmuz 2024 tarihli Yönetmelik'le yeni bir rejime girdi: Kurul'un yeterlilik kararı yoksa uygun güvence (çoğunlukla standart sözleşme) şart ve imzadan sonra 5 iş günü içinde Kurum'a bildirim zorunlu. 2026 için yeniden değerlenen tutarlarla standart sözleşme bildiriminin ihmali yaklaşık 90 bin TL'den 1,8 milyon TL'ye, VERBİS ve veri güvenliği ihlalleri ise 17 milyon TL'ye varan idari para cezasıyla karşılanıyor.

Yurt Dışına Veri Aktarımının Hukuki Çerçevesi Nedir?

Temel hüküm, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 9. maddesidir. Madde, 12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun'la yeniden yazılmış ve 1 Haziran 2024'te yürürlüğe girmiştir. Uygulama ayrıntıları 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile belirlenmiştir. Yeni düzenleme, Avrupa Birliği Genel Veri Koruma Tüzüğü'ne (GDPR) yakınlaşan üç katmanlı bir yapı kurar:

• Yeterlilik kararı: Kurul'un yeterli koruma bulunduğuna karar verdiği ülke, sektör veya uluslararası kuruluşa aktarım yapılabilir. Kurul bugüne kadar hiçbir yeterlilik kararı vermemiştir.
• Uygun güvenceler: Kamu kurumları arasında uluslararası sözleşme niteliğinde olmayan anlaşma (Kurul izniyle), Kurul onayına tabi bağlayıcı şirket kuralları, Kurul'un ilan ettiği ve değiştirilmeden kullanılan standart sözleşme (5 iş günü içinde Kurum'a bildirilir) ve Kurul izniyle geçerli yazılı taahhütname.
• Arızi aktarım istisnaları: Yalnızca tek seferlik aktarımlar için ilgili kişinin bilgilendirilmiş açık rızası, sözleşmenin ifası, kamu yararı veya bir hakkın korunması gibi sınırlı haller.

Katmanlar kademelidir; bir sonrakine ancak öncekinin bulunmadığı durumda geçilir. Alıcının veriyi başka bir ülkeye aktarması (sonraki aktarım) da aynı hükümlere tabidir.

Yönetmeliğin Kapsamı Hangi Veri Sorumlularını Etkiler?

Kurallar, kişisel veriyi yurt dışındaki bir alıcıya aktaran tüm gerçek ve tüzel kişileri kapsar. KVKK'nın 3. maddesinde tanımlanan, veri işleme amacını ve yöntemini belirleyen veri sorumlusu, yurt dışına aktarıma karar verdiğinde 9. madde hükümlerine tabi olur. 7499 sayılı Kanun'un önemli bir yeniliği, veri işleyenlerin de bu yükümlülüklere doğrudan tabi tutulmasıdır; yurt dışı sunucuda veri barındıran hizmet sağlayıcı artık kanun gereği sorumludur.

En sık etkilenen kurumlar; yurt dışı bulut, kurumsal yazılım (SaaS), e-posta ve uzaktan destek hizmeti kullanan şirketler, çok uluslu e-ticaret platformları ve yabancı sermayeli grup şirketleridir. Yurt dışındaki alıcının veriye erişime açılması da aktarım sayılır. VERBİS'e kayıtlı veri sorumluları, yurt dışına aktarım yaptıklarını sicil kaydında belirtmek ve güncel tutmakla yükümlüdür. Açık rıza ise artık genel bir dayanak değildir; yalnızca arızi, yani tek seferlik ve düzenli olmayan aktarımlarda istisna olarak kullanılabilir.

Standart Sözleşme ve Bildirim Yükümlülükleri Nelerdir?

Standart sözleşme, uygulamada en sık kullanılan uygun güvence aracıdır. Kurul, aktarımın taraflarına göre (veri sorumlusu-veri sorumlusu, veri sorumlusu-veri işleyen ve tersi) dört ayrı metin ilan etmiştir. Metinler tek tek onaylanmaz ve değiştirilemez; yalnızca ekleri doldurularak kullanılır. Doldurulan alanlar:

• Aktaran ve alıcı tarafların kimliği ve rolleri.
• Aktarılan veri kategorileri, ilgili kişi grupları ve aktarım amacı.
• Alıcının uygulayacağı teknik ve idari güvenlik önlemleri.
• İlgili kişi haklarının kullandırılması, veri ihlali bildirimi ve sonraki aktarım koşulları.

Standart sözleşme, imzalanmasından itibaren 5 iş günü içinde veri sorumlusu veya veri işleyen tarafından Kurum'a bildirilir; bildirim fiziksel olarak, kayıtlı elektronik posta (KEP) üzerinden veya Kurum'un belirlediği diğer yöntemlerle yapılır. Yabancı dilde düzenlenen sözleşmeye Türkçe tercümesi eklenir; sözleşmenin sona ermesi veya bilgilerinde değişiklik olması da bildirime tabidir. Kurul henüz hiçbir ülke için yeterlilik kararı vermediğinden, Avrupa Birliği üye devletleri dahil tüm ülkelere aktarım uygun güvence gerektirir; bağlayıcı şirket kurallarına ise Kurul onayı alınmadan dayanılamaz.

2026 Yılında KVKK İdari Para Cezaları Ne Kadar?

KVKK'nın 18. maddesindeki idari para cezaları, Kabahatler Kanunu uyarınca her yıl yeniden değerleme oranında artırılır. 7499 sayılı Kanun, standart sözleşme bildiriminin ihmali için ayrı bir ceza kalemi (18/1-e) eklemiştir. 2026 için geçerli yaklaşık aralıklar şöyledir:

Tutarlar yüzde 25,49'luk 2026 yeniden değerleme oranıyla güncellenmiş yaklaşık değerlerdir; kesin liste için Kurum duyurusu esas alınmalıdır.

Kalemler birbirini dışlamaz. Uygun güvence olmadan yapılan bir aktarım, bildirim cezasının yanı sıra veri güvenliği ihlali sayılarak 17 milyon TL'ye kadar cezalandırılabilir; VERBİS kaydındaki eksiklik veya geciken ihlal bildirimi için de ayrı cezalar verilebilir. Kurul, tutarı belirlerken Kabahatler Kanunu'nun 17. maddesi uyarınca ihlalin ağırlığını, kusuru ve ekonomik durumu; uygulamada ihlalin süresini, etkilenen ilgili kişi sayısını ve alınan önlemleri dikkate alır. KVKK'da GDPR'daki gibi ciroya oranlanan bir ceza hesabı yoktur.

Kurumsal Uyum İçin Alınması Gereken Adımlar Nelerdir?

Uyum, tek seferlik bir proje değil, denetimde belgeyle ispatlanması gereken sürekli bir döngüdür. Adımlar şöyle sıralanabilir:

1. Veri envanteri ve yurt dışı aktarım haritası çıkarın. Hangi veri kategorisinin, hangi ülkedeki hangi alıcıya, hangi hukuki dayanakla aktarıldığını gösteren bir matris hazırlayın.
2. Her aktarım için hukuki dayanağı belirleyin. Yeterlilik kararı bulunmadığından seçim pratikte standart sözleşme, bağlayıcı şirket kuralları veya taahhütname arasındadır. Alıcı ülke için risk değerlendirmesi zorunlu değildir; ancak tavsiye edilir.
3. Standart sözleşmeleri imzalayın ve 5 iş günlük bildirim takvimini kurun. İmza yetkilisini, bildirim kanalını ve iç takip sorumlusunu önceden belirleyin.
4. VERBİS kaydını güncelleyin. Sicil kaydında yurt dışına aktarım bilgisi, veri kategorileri ve alıcı grupları güncel olmalıdır.
5. Aydınlatma metinlerini ve politikaları revize edin. Aydınlatma metinleri ile saklama ve imha politikası yurt dışı aktarım bilgisini içermelidir.
6. Teknik ve idari tedbirleri uygulayın. Şifreleme, erişim kontrolü, taşınabilir medya kontrolü, erişim kayıtları ve saklama süresi yönetimi bu tedbirlerin başında gelir. Yurt dışına hangi verinin gittiğini bilmek, önce hangi cihazda hangi verinin durduğunu bilmekle başlar. Arin Agent bu teknik tarafta destek sağlar: kurumsal bilgisayarların envanterini otomatik toplayıp VERBİS için dışa aktarır, USB ve yazıcı üzerinden veri çıkışını politikayla engelleyip kayıt altına alır, erişim kayıtlarını mevzuata uygun saklama süresiyle yönetir ve KVKK ihlal müdahale akışını panelde tanımlı tutar.
7. İhlal müdahale planı, personel eğitimi ve iç denetim takvimi oluşturun. KVKK'da zorunlu bir veri koruma görevlisi yoktur; VERBİS irtibat kişisi ve süreçten sorumlu bir iç ekip yeterlidir. Tüm adımlar belgelenerek Kurum denetimine hazır tutulmalıdır.

1 Haziran 2024 Öncesi ve Sonrası Ne Değişti?

Eski 9. madde, aktarımı esas olarak ilgili kişinin açık rızasına dayandırıyordu; rıza yoksa ancak Kurul'un ilan edeceği "yeterli korumaya sahip ülkeler" listesindeki bir ülkeye veya Kurul izniyle geçerli taahhütnameyle aktarım yapılabiliyordu. Güvenli ülke listesi hiç yayımlanmadığı ve taahhütname izinleri uzun sürdüğü için aktarımların büyük kısmı açık rızaya dayandı. Öne çıkan farklar şöyledir:

Eski maddeye göre açık rızayla yapılan aktarımlar geçiş hükmü uyarınca 1 Eylül 2024'e kadar sürdürülebildi; bu tarihten sonra yeni rejim tam olarak uygulanmaktadır. Kurul kararlarına itiraz da sulh ceza hakimliğinden idare mahkemelerine taşınmıştır.

Yurt dışı aktarım sözleşmeleri ve Kurum'a bildirimler hukuk ekibinin işi; ancak aktarılan verinin hangi cihazlarda durduğunu, kimin USB belleğe kopyalayabildiğini ve denetimde hangi kaydın gösterileceğini bilmek BT'nin işi. Arin Agent bu teknik tarafı tek panelde toplar: cihaz envanteri, USB ve yazıcı kontrolü, saklama süresi yönetimi ve ihlal müdahale akışı. Kurumunuzun uyum altyapısını görmek için KVKK & 5651 uyum modülünü inceleyin ve demo talep edin.

Sık sorulan sorular

Yurt dışına veri aktarımını hangi mevzuat düzenler?

7499 sayılı Kanun'la değişen KVKK'nın 9. maddesi ve 10 Temmuz 2024 tarihli Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik. Düzenleme yeterlilik kararı, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname) ve arızi aktarım istisnalarını kapsar.

VERBİS kayıt eksikliği cezası 2026'da ne kadar?

Yaklaşık 341.809 TL'den 17.092.242 TL'ye kadar idari para cezası uygulanabilir; tutarlar her yıl yeniden değerleme oranıyla güncellenir.

Standart sözleşme bildirimi 5 iş günü içinde yapılmazsa ceza ne kadar?

2026 için yaklaşık 90.308 TL'den 1.806.177 TL'ye kadar idari para cezası uygulanır; ayrıca uygun güvence olmadan yapılan aktarım veri güvenliği ihlali olarak da değerlendirilebilir.

Kurumların yurt dışına veri aktarımı için dikkat etmesi gereken yükümlülükler nelerdir?

Aktarım envanteri ve hukuki dayanak tespiti, standart sözleşmelerin 5 iş günü içinde Kurum'a bildirilmesi, VERBİS kaydının yurt dışı aktarım bilgisiyle güncellenmesi ve teknik-idari tedbirlerin uygulanması.

İlgili yazılar

KVKK Uyumu

Veri kaybı önleme (DLP) yazılımı KVKK uyumunu nasıl sağlar?

20 Eylül 2026KVKK Uyumu

2026 KVKK idari para cezaları %25,49 arttı mı?

10 Eylül 2026KVKK Uyumu

2026 VERBİS Kayıt Zorunluluğu Kimleri Kapsar?

4 Eylül 2026